ConnectWise ScreenConnect: Schwachstelle erlaubt Dateiausführung

TL;DR

• Die CISA hat CVE-2026-84869, eine aktive Schwachstelle in ScreenConnect, nach bestätigten Angriffen in freier Wildbahn in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen [^1][^2].
• Die Lücke ermöglicht es unbefugten Angreifern, die Host-Bestätigung zu umgehen, um Dateien innerhalb aktiver Fernzugriffssitzungen zu übertragen und auszuführen [^1].

Hintergrund

ConnectWise ScreenConnect ist ein Fernwartungs- und IT-Management-Tool, das von Managed Service Providern (MSPs) und Enterprise-IT-Helpdesks weit verbreitet eingesetzt wird. Techniker nutzen ScreenConnect, um aus der Ferne Bildschirme anzuzeigen, Support-Skripte auszuführen und Diagnose-Tools auf Endgeräte von Kunden in verschiedenen Netzwerksegmenten zu übertragen. Da Remote-Management-Software erhöhte Administratorrechte benötigt, um über gesamte Unternehmensflotten hinweg zu arbeiten, bietet jede Schwachstelle in der Sitzungsvalidierung oder den Dateiübertragungsmechanismen Angreifern direkte Kontrolle über Zielnetzwerke auf hoher Ebene.

Was passiert ist

Die Cybersecurity and Infrastructure Security Agency (CISA) hat CVE-2026-84869 offiziell in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufgenommen und damit bestätigt, dass Angreifer den Fehler in aktiven Umgebungen ausnutzen [^1][^2]. Die Sicherheitslücke stammt von fehlerhafter Rechteverwaltung kombiniert mit fehlenden Autorisierungskontrollen innerhalb der Sitzungssteuerungs-Pipeline von ScreenConnect [^1].

Im Normalbetrieb verlässt sich ScreenConnect beim Starten einer Dateiübertragung oder der Befehlsausführung während einer aktiven Support-Sitzung auf interne Berechtigungsprüfungen und visuelle Bestätigungsaufforderungen des Hosts. So wird sichergestellt, dass der Endanwender oder Systemadministrator die Aktion genehmigt [^1]. CVE-2026-84869 ermöglicht es einem nicht authentifizierten oder niedrig privilegierten Angreifer, diese Autorisierungshürden vollständig zu umgehen [^1]. Die Lücke resultiert aus unzureichenden Zugriffskontrollprüfungen bei der Verarbeitung von Session-State-Flags während aktiver Client-Server-Interaktionen. Durch das Erstellen präparierter Netzwerkanfragen an eine aktive Sitzung kann ein Angreifer beliebige Dateien direkt an den Remote-Endpunkt streamen und ausführen, ohne dass Benutzerüberprüfungsbildschirme oder Zustimmungsdialoge auf dem Host ausgelöst werden [^1][^2].

Da die Schwachstelle aktive Remote-Sitzungen betrifft, können sich Angreifer an bestehende administrative IT-Workflows anhängen [^1]. Sobald ein Angreifer ein offenes Session-Handle identifiziert oder Session-Tokens abfängt, kann er Payload-Befehle direkt in das zugrunde liegende Host-Betriebssystem einspeisen [^1][^2]. US-Behörden und private Unternehmen, die selbst gehostete ScreenConnect-Instanzen betreiben, müssen unverzüglich die Sicherheits-Patches des Herstellers einspielen oder exponierte Netzwerkschnittstellen gemäß CISA-Richtlinien absichern [^2].

Warum es wichtig ist

Remote-Management-Tools stellen den größten systemischen Risikovektor für kleine und mittlere Unternehmen dar, die auf Managed Service Provider angewiesen sind. Wenn ein MSP Software wie ScreenConnect nutzt, um Hunderte von Kundennetzwerken zu verwalten, wirkt eine einzelne Schwachstelle in diesem zentralen Verwaltungsserver wie ein Generalschlüssel. Angreifer, die es auf Remote-Monitoring-Software abgesehen haben, greifen in der Regel nicht Endgeräte einzeln an. Stattdessen kompromittieren sie die zentrale Remote-Management-Infrastruktur, um Ransomware-Binärdateien gleichzeitig auf Tausende von Kunden-Workstations zu übertragen.

Diese spezifische Schwachstelle ist gefährlich, weil sie die Vertrauensgrenze zwischen dem Remote-Techniker und dem lokalen Endpunkt-Host untergräbt. In standardmäßigen Remote-Support-Protokollen dienen Host-Bestätigungen als letzte Sicherheitsbarriere gegen schadhafte Sitzungsaktionen. Durch das Entfernen der Host-Bestätigung und Autorisierungsprüfungen verwandelt CVE-2026-84869 eine aktive Remote-Support-Sitzung in ein lautloses Liefervehikel für bösartige ausführbare Dateien. Ein Endanwender, der während einer legitimen Support-Interaktion auf seinen Bildschirm schaut, sieht keinen visuellen Hinweis darauf, dass im Hintergrund eine zweite Payload bereitgestellt und gestartet wird.

Darüber hinaus zeigt die schnelle Aufnahme von CVE-2026-84869 in den KEV-Katalog durch die CISA, dass Angreifer zügig von der Entdeckung zur Waffenfähigkeit übergegangen sind. Ransomware-Syndikate und Access Broker scannen aktiv öffentliche IP-Bereiche nach exponierten ScreenConnect-Servern. Organisationen, die das Patchen selbst gehosteter Remote-Management-Instanzen verzögern, setzen ihren gesamten nachgelagerten Kundenstamm automatisierten Supply-Chain-Angriffen, dem Diebstahl von Anmeldedaten und einer dauerhaften Kompromittierung der Netzwerkdomäne aus.

Ein Beispiel aus der Praxis

Stell dir einen Systemadministrator namens Dave vor, der für einen MSP arbeitet. Am Dienstagmorgen öffnet Dave eine ScreenConnect-Remote-Sitzung, um dem Buchhalter eines Kunden bei einem Druckertreiber-Problem zu helfen.

Während Dave die Druckereinstellungen analysiert, scannt ein Angreifer die öffentlich zugängliche ScreenConnect-Instanz des MSP und identifiziert Daves aktive Session-ID. Unter Ausnutzung von CVE-2026-84869 sendet der Angreifer eine präparierte Netzwerk-Payload direkt an den Sitzungsendpunkt.

Der ScreenConnect-Dienst empfängt die Payload und schreibt eine versteckte ausführbare Datei in das Desktop-Verzeichnis des Buchhalters. Da Autorisierungskontrollen fehlen, führt das System die Datei sofort mit lokalen Administratorrechten aus.

Weder Dave noch der Buchhalter erhalten eine Aufforderung zur Dateiübertragungsgenehmigung oder Rechteerweiterung. Der bösartige Prozess läuft geräuschlos im Hintergrund und greift gespeicherte Browser-Anmeldedaten ab, während Dave die Behebung des Druckertreiber-Problems abschließt.

Passende Produkte

Wir empfehlen dieses Buch, weil es genau die Autorisierungs- und Session-Management-Fehler erklärt, die Fernzugriffsschwachstellen ermöglichen.